이스트소프트 알약 긴급대응팀입니다. 지난 2008년에 발생한 MS08-067 취약점을 이용한 악성코드가 USB와 네트워크를 통해 다시 점차 확산되고 있어 사용자들의 주의가 필요한 상황입니다.
- 내역
현재 MS08-067 취약점을 이용한 악성코드는 보안 패치가 되지 않은 취약PC를 원격지점에서 공격자가 통제하도록 할 수 있는 권한을 갖게 해주는 것 외에도 다른 추가적인 악성코드를 다운로드하고 추가감염을 위한 과도한 패킷을 발송하여 인터넷 속도를 저하시키거나 인터넷 연결 장애 현상을 초래합니다. 특히 이 악성코드의 경우 특수하게 조작된 RPC 요청(TCP 포트 445), 비밀번호가 취약하게 설정되어 있는 공유폴더에 대한 비밀번호 무작위 대입 공격과 USB등의 이동식 저장장치 자동실행(Autorun)을 통해 급격히 확산되고 있습니다.
- 영향받는 시스템
Microsoft Windows 2000 Microsoft Windows XP Microsoft Windows Server2003 Microsoft Windows Vista Microsoft Windows Server2008
- 해결 방법
알약에서는 해당 악성코드에 대한 전용백신을 제공하고 있습니다. 아래의 전용백신을 다운로드 받아 실행합니다.
2. 알약의 DB업데이트를 최신으로 유지하고, 실시간 감시 수준을 '높음'으로 설정합니다.
3. USB(이동식 저장장치)의 자동실행(Autorun)을 통한 감염을 막기위해 추가적으로 USB 자동 실행을 차단하고, 현재 사용중인 공유 폴더 설정 해제를 권장합니다. USB 자동 실행을 차단하는 툴은 국가정보원에서 무료로 제공하고 있습니다. 아래의 링크를 클릭하여 프로그램을 다운로드 받아 실행하여 USB 자동 실행을 차단합니다.
기업의 네트워크나 보안 관리자께서는 방화벽이나 IPS에서 TCP 139, 445번 포트 차단을 권장합니다.
악질 '2090 바이러스'에 인터넷이 떤다
지금 컴퓨터 모니터 오른쪽 하단으로 눈을 돌려보라. 만일 날짜가 '2090년 1월 1일 오전 10시'로 돼 있다면 마음의 준비를 해야 한다. 악질 바이러스에 걸렸기 때문이다.
지난 7일부터 출몰하기 시작한 일명 '2090 바이러스'의 공포에 누리꾼들이 떨고 있다. 이 바이러스에 감염이 되면 윈도 오른쪽 하단에 나오는 일자가 2090년 1월 1일 오전 10시로 고정돼 수정이 불가능한 현상 때문에 이러한 이름이 붙게 됐다. 수동으로 날짜를 바꿔도 10분 정도가 지나면 다시 2090년으로 자동 수정된다.
또 이 바이러스는 윈도(Windows) 폴더 안의 시스템32(system32) 폴더 안에 12343.exe, 842.exe 등 파일명이 숫자로만 이루어진 실행 파일들을 무한정 생성해 실행, 컴퓨터가 메모리를 소모한 끝에 결국 다운되도록 만든다. 바이러스로 인해 만들어진 이러한 프로세스들은 수동으로 강제 종료해도 곧 다시 실행되기에 속수무책이다.
더구나 다운된 컴퓨터를 재부팅한 후 윈도의 사용자 계정에 로그온하려 하면 윈도 로그온과 로그오프가 무한히 반복돼 컴퓨터를 사용하지 못하게 된다. 몇몇 사용자의 경우 이를 해결하기 위한 '윈도 안전 모드'로도 부팅이 불가능해 포맷으로 이 현상을 해결하고 있는 것으로 알려졌다.
특히 이 바이러스는 건물이나 회사 등 동일한 네트워크에 있는 다른 컴퓨터에 일정한 핑(Ping)을 계속 보내 감염된 컴퓨터가 속한 네트워크망까지 작동 불능에 이르게 만든다는 점에서 공포의 대상이 되고 있다.
보안 프로그램 '알약'을 제작하는 이스트소프트 김명석 팀장은 “전파 경로는 USB 디스크 드라이버의 자동 실행 파일인 'autorun.inf'로 추정된다”면서 “해당 바이러스가 컴퓨터가 부팅될 때 자동 실행되도록 하기 위해 레지스트리에 특정한 키값를 등록하는데, 그 위치가 윈도 로그인과 관련된 위치여서 무한 로그온-로그오프 현상이 발생하고 있는 것으로 보인다”고 설명했다.
문제는 현재 이를 완전히 치료하는 백신이 없다는 데 있다. 이 바이러스의 출몰을 감지한 이스트소프트의 알약과 안철수연구소의 V3, 외국산 엔진인 어베스트(Avast) 등 각 보안업체들이 지난 9일 긴급 패치를 발표하며 총력전을 펼치고 있는 상황이지만, 다음날인 10일 백신을 아랑곳하지 않는다는 제보가 각 보안업체로 속속 날아들고 있다. 며칠 사이 변종이 발생한 것으로 추정되고 있다.
보안업계 관계자들은 “바이러스 확산 초기에 감염됐을 경우 운영체제를 재설치하는 방법밖에 없었기에 파일 샘플을 확보하는 것도 쉽지 않았다”며 고개를 내둘렀다. 한 보안업계 관계자는 “현재 계속적으로 백신 엔진 업데이트에 매달리고 있는 상황”이라며 “일단 걸리기 전 윈도의 최신 업데이트를 설치하고, 관련 네트워크 전체가 오프라인 상태에서 백신으로 치료 및 검사를 실행하는 것을 권장한다”고 사용자들의 주의를 당부했다.
